Климарёв: удары по дата-центрам парадоксальным образом спасают российский интернет от изоляции

Подготовлено редакцией с помощью ИИ

Что за уязвимость в PHP положила часть сайтов и почему ИИ не поможет её закрыть, зачем ФСБ в Минцифры и почему исчезают мелкие операторы связи, что будет, если сгорят дата-центры ФНС. Михаил Климарёв из «Общества защиты интернета» — в «Прямо сейчас».

1. Уязвимость в PHP вызвала скорее панику, чем катастрофу: патч есть, но его приходится долго тестировать из-за старых зависимостей.
2. ИИ недетерминирован и не может надёжно проверить сложный софт.
3. Китай и Meta публикуют модели в открытых весах; российский «суверенный ИИ» — это дообученные китайские модели.
4. Число операторов связи в России сократилось вдвое; власти выгодно оставить несколько сотен крупных.
5. Дата-центров в России около 40; потеря дата-центров ФНС ударит по налогам и реестрам, поэтому документы на недвижимость лучше хранить на бумаге.
6. Чтобы сохранить цифровую экономику, компаниям придётся выносить данные в Европу, а это мешает изоляции интернета.

Главная тема — новая уязвимость в языке PHP, на котором работают WordPress, Drupal и огромная часть интернета. Вторая — российские дата-центры под ударами и то, что будет, если их не станет.

Уязвимость в PHP: паника вместо катастрофы

Калифорнийская лаборатория вместе с OpenAI нашла уязвимость нулевого дня: специальный запрос из адресной строки браузера даёт полный доступ к серверу сайта на PHP. Её оценили в 9,8 балла из 10. Отчёт сначала разослали группам реагирования CERT и только потом опубликовали — иначе хакеры прочитали бы его раньше специалистов по безопасности. Дальше началась паника: регистратор доменов .de DENIC закрылся на сутки, ложились части хостинга Scaleway и амстердамской точки обмена трафиком, правительственные сайты. Патч уже есть, но его нужно ещё оттестировать: старый софт держится на сложных зависимостях, и любая заплатка может что-то сломать.

Искусственный интеллект проверить все эти зависимости не поможет: он недетерминирован и на один и тот же вопрос отвечает по-разному. Тот же урок — в сбое дата-центра Google в Западной Европе, из-за которого перестали работать британские банковские сервисы: виноват, по-видимому, один DNS-резолвер.

ИИ-гонка

Противостояние США и Китая в области ИИ похоже на ядерное. При этом Китай, которому не хватает вычислительных мощностей, публикует модели в открытых весах, как и Meta. Российские компании без видеокарт дообучают китайские модели и называют это суверенным ИИ. Anthropic после запрета публиковать модель, сильную в информационной безопасности, сама лоббирует законы об ответственности разработчиков. Первыми под удар ИИ попали сами айтишники: джуниоры не могут найти работу, а значит, скоро не будет и новых сеньоров. Следующие на очереди — журналисты.

ФСБ в связи

Сотрудник ФСБ, которого прочат в замглавы Минцифры по кибербезопасности, — часть давнего института прикомандированных сотрудников: они получают две зарплаты и ни за что не отвечают. Важнее другое: в России идёт «процесс уничтожения операторов связи». Из 7,5 тысячи осталась примерно половина. Мелкие операторы не выдерживают затрат на СОРМ и надзор, а власти, вероятно, хотят оставить 200–300 крупных, которых проще контролировать.

Дата-центры

Больших дата-центров в России около 40 у восьми–десяти владельцев. Если сгорает по пять за две недели, через полгода их не останется. Особенно уязвимы два дублирующих друг друга дата-центра ФНС: там хранятся данные ЗАГС, реестр юрлиц и, возможно, кадастры. Совет россиянам — собрать бумажные документы на недвижимость и заверить копии.

Распределённые дата-центры, которые обещает «Яндекс», в разы дороже и строятся годами; перенос под землю, в Сибирь или в Казахстан экономически не работает. Остаётся тихо покупать мощности в Европе через подставные компании, как это открыто сделала Украина. Поэтому, как ни парадоксально, удары по дата-центрам мешают окончательно изолировать российский интернет.